OneDrive.exe CPU Miner

O processo OneDrive.exe que possui o código MD5: 73F5B81F6E8B6CBE23D4BF28AC341D8D não deve ser confundido com o OneDrive.exe genuíno associado ao serviço de armazenamento na nuvem pela Microsoft. O OneDrive.exe CPU Miner é um programa que entra nos computadores através de falsas atualizações de software para o Java e o Adobe Flash, além de Trojan-Droppers. Os pesquisadores de malware alertam que o OneDrive.exe CPU Miner é uma das centenas de variantes baseadas no código do XMRig — Github.com/xmrig/xmrig. O projeto XMRig é preferido por muitos criadores de ameaças que procuram implantar um minerador de CPU personalizado nas máquinas já comprometidas e ganhar dinheiro usando o poder de processamento dos usuários desavisados.

O OneDrive.exe genuíno da Microsoft pode ser encontrado no C:\Users\username\AppData\Local\Microsoft\OneDrive tem o recurso MD5: 73F5B81F6E8B6CBE23D4BF28AC341D8D. Além disso, o emissor está listado como Microsoft Code Signing PCA 2010, e o número de série é 3300000152ed894e5852ddbc2f000000000152. A versão do produto OneDrive no momento em que este artigo foi escrito é 17.3.7131.1115 e as atualizações do programa são forçadas através do Centro de Atualização do Windows. Em contraste, o OneDrive.exe CPU Miner geralmente é deixado ema uma pasta com um nome aleatório sob C:\Users\username\AppData\Roaming\. O OneDrive.exe CPU Miner pode editar o Registro e executar no Windows como a versão genuína. No entanto, o OneDrive.exe CPU Miner lida com tarefas complexas de computação e seqüestra o poder de processamento da CPU. O OneDrive.exe CPU Miner é usado para verificar transações com Bitcoin e pode diminuir a vida útil dos componentes do seu computador. Ferramentas como o OneDrive.exe CPU Miner exigem um maior consumo de eletricidade e podem fazer com que ferramentas de terceiros (o seu navegador da Web, a suíte do Office, jogos e kits de criação de mídia) falhem e não consigam iniciar. As empresas de AV podem detectar o OneDrive.exe CPU Miner como:

• Artemis!73F5B81F6E8B
• Troj.Msil.Bitcoin!c
• Trojan.Agent.Mnr
• Trojan.MSIL.BitCoin.jzz
• Trojan.MSIL.gen.a.13
• Win32/BitCoinMiner
• a variant of MSIL/Kryptik.CHR

O OneDrive.exe CPU Miner possui muitas variantes que apresentam nomes que você pode associar com um software legítimo. Alguns dos clones do XMRig estão usando os seguintes nomes:

Appmallosayov.exe, Aticonto.exe, CPUutility.exe, Cheat.exe, CltMngSvc.exe, Csrss.exe, DahiService.exe, Desktopcleanerservice.exe, HostStore.exe - , Img001.exe, LMS.exe, LoaderBot.exe, MLFOB4NCY.exe, MaskitService.exe, NVDisplayContainer.exe, Open.exe, Pluslax.exe, Proxycheck.exe, Runboosterservice64.exe, Seaidmwsvc.exe, Server.exe, ServicesHost.exe, SetupQQ.exe, Snsdgchsvc.exe, Sppsvc.exe, SystemTaskinfo.exe, TablacusApp.exe, TrustedInstaller.exe, VideoCardUpdater.exe, Wibgotv.exe, Xmnvidia.exe, auto-upgrade.exe, carbon.exe, ccminer-x64.exe, cn3.exe, conhost.exe, ddfsf.exe, debug.exe, deftesrg.exe, dether.exe, ethDcrMiner64.exe, footer.png.exe, guard.exe, hostsys.exe, ingloca.exe, je.exe, mel5s.exe, msiexec.exe, msiexec64.exe, npsvc.exe, pexplorer.exe, qctrl.exe, resellertrona.exe, rthdcpl.exe, schtasks.exe, scinfo.exe, searchgo.exe, setcpuaff.exe, skypeUpdateEx.exe, spoolsv.exe, srvany.exe, svowxkb.exe, systemNT.exe, systemhoster.exe, systems.exe, taskxmr.exe, tc.exe, tiser.exe, tunecontrol.exe, videodrv.exe, viva.exe, vivatmp.exe, watchdog.exe, win1ogins.exe, windir.exe, winlg.exe, winlg.exe, wmiprvse.exe, wvermgr.exe, xme64-24.exe, yam.exe.

As pastas associadas aos clones do XMRig são as seguintes:

C:\Program Data\WindowsVideoErrorReporting\
C:\Program Data\tiser\
C:\Program Files\Desktop Cleaner\
C:\Program Files\MLFOB4NCYB\
C:\Program Files\RunBooster\
C:\Program Files\SearchProtect\bin\
C:\Program Files\SkypeUpdateEx\
C:\Program Files\System Native\Main Services
C:\Program Files\Vivia\
C:\Users\username\AppData\Local\scinfo\
C:\Users\username\AppData\Pluslax\
C:\Users\username\AppData\System\CPU1\
C:\Users\username\AppData\Temp\WindowsTask\MicrosoftShellHost\
C:\Users\username\AppData\VideoCardUpdater\
C:\Users\username\AppData\Windows\System Idle\
C:\Users\username\AppData\videodrv\
C:\Windows\Fonts\wininit\
C:\Windows\SysWOW64\
C:\Windows\System\hssad\
C:\Windows\min\
C:\Windows\sghgdasf\
C:\Windows\system\NVDisplayContainer